Rischi, vulnerabilità e attacchi.
Politecnico di Milano e Trend Micro FTR hanno analizzato il mondo dell’Industry 4.0 rivelando rischi, pericoli e le possibili contromisure.
I robot industriali possono essere compromessi, alterando in maniera decisiva la normale funzionalità dei sistemi industriali e minando la sicurezza del personale. Questo è uno dei risultati di una delle mie ultime ricerche, realizzata in collaborazione tra Politecnico di Milano e Trend Micro FTR, “Rogue Robots: Testing the Limits of an Industrial Robot’s Security,” presentata il 22 maggio 2017 alla prestigiosa conferenza accademica “IEEE Symposium on Security and Privacy” a San Jose (CA) e anche il 25 luglio al principale evento industriale di cybersecurity, “Black Hat Briefings” a Las Vegas (NV).
La ricerca ha avuto origine dalla collaborazione tra il laboratorio di sicurezza e architetture (NECST, Ing. Davide Quarta, Ing. Marcello Pogliani, Ing. Mario Polino supervisionati dal Prof. Stefano Zanero) del Dipartimento di Elettronica, Informazione e Bioingegneria del Politecnico di Milano e il team FTR di Trend Micro, rappresentato dal sottoscritto.
La ricerca conferma lo spirito pioneristico dell’eccellenza accademica italiana e di Trend Micro, da sempre precursore nell’esplorare i nuovi grandi temi legati alla tecnologia e alla sicurezza, e dimostra per la prima volta come i robot industriali possono essere compromessi. La nostra analisi suggerisce anche una strategia per affrontare in tutta sicurezza l’avventura della quarta rivoluzione industriale.
I robot nell’Industry 4.0
I robot rappresentano un elemento sempre più critico del nostro tessuto industriale. Questo li rende un bersaglio potenziale sia per gruppi cybercriminali in cerca di guadagno, sia per stati che vogliono colpire l’operatività di un avversario.
Parlare di attacchi informatici che coinvolgono i robot fa immediatamente pensare ai film di fantascienza. La realtà però è così lontana, almeno concettualmente: i sistemi robotici nell’industria sono infatti un ingranaggio vitale nei processi manifatturieri e presenti in ogni settore, dai produttori di chip in silicio alle catene di produzione di autovetture, passando per vetrerie o industrie alimentari, per esempio. Le stime parlano che nel 2018 il numero di robot nelle fabbriche di tutto il mondo sarà di 1.3 milioni ed il trend sarà sempre più in crescita. I robot sono un fondamentale fattore abilitante per l’Industry 4.0, una nuova era di innovazione che automatizza e rende più intelligenti le fabbriche e che potrebbe trasformare la società nello stesso modo in cui il motore a vapore ha cambiato il corso della storia nel XVIII secolo.
Nel report spieghiamo come, dal momento in cui questi sistemi diventano sempre più intelligenti e interconnessi, cresce la loro superficie di attacco. Alcuni robot possono addirittura essere raggiunti direttamente da Internet, per il monitoraggio e la manutenzione a distanza. Purtroppo, questo nuovo ecosistema emergente è caratterizzato però da software di vecchia generazione, basato su sistemi operativi vulnerabili, librerie non sempre aggiornate (o non aggiornabili!), scarso o scorretto utilizzo di crittografia, sistemi di autenticazione deboli, con credenziali predefinite che non possono essere cambiate facilmente. Combinando vulnerabilità di queste classi, trovate durante la ricerca, abbiamo dimostrato l’esistenza di 5 attacchi specifici dei sistemi robotici industriali, che vanno ad esempio dalla violazione dei minimi requisiti di sicurezza fisica, fino all’introduzione di micro difetti negli oggetti manipolati dal robot.
Da qui, gli scenari di attacco sono svariati: creazione di danni fisici, sabotaggio di prodotti, esfiltrazione di segreti industriali, fino alle richieste di riscatto avanzate dall’aggressore in cambio di rivelare in quali unità di prodotto egli ha silenziosamente introdotto micro- difetti (e.g., automobili, aerei, medicinali). Per tutelarsi è necessario un approccio e uno sforzo olistico che richiede il sostegno e la partecipazione di tutti gli stakeholder, inclusi i vendor di security e gli sviluppatori di software e questo va oltre il migliorare semplicemente la qualità dei software embedded.
La strada è ancora lunga, ma ricerche di questo genere aiutano a dare un segnale e a sviluppare un’Industry 4.0 sicura.
